门限签名方案（TSS）

什么是门限签名方案（TSS）？

门限签名方案（Threshold Signature Scheme，TSS）是一种密码学签名方法，可让多名参与者共同创建一个有效的数字签名，而无需任何单一参与者持有完整私钥。

在加密货币领域，TSS 主要用于保护钱包、资金库系统、托管流程、验证者运营，以及其他必须安全签署区块链交易的系统。

其基本理念很简单：私钥被拆分为独立的密钥份额，只有达到规定门限数量的份额才能生成有效签名。

例如，3-of-5 TSS 设置意味着 5 名参与者分别持有密钥份额，但任意 3 名获授权参与者可以共同签署交易。

仅两名参与者无法创建有效签名，单个被盗的密钥份额也不应足以转移资金。

NIST 将门限密码学描述为一种模型：秘密密钥被分配给多方，只要被攻破的参与方数量低于方案规定的门限，密钥机密性便能保持受到保护。

这使 TSS 对加密货币具有实用价值，因为私钥泄露是数字资产管理中最严重的风险之一。

TSS 不会将完整签名权限放在一台设备、一台服务器、一个员工账户或一组恢复短语上，而是将签名权限分散到多个独立份额中。

完成的 TSS 签名在区块链网络看来通常与普通数字签名无异。

这意味着区块链并不总是需要知道有多方参与生成签名。

该特性可提升隐私性、降低链上复杂度，并让组织在不将每位内部签名者暴露到链上的情况下制定灵活的审批规则。

TSS 如何在加密货币中运作

TSS 设置通常从密钥生成开始。

在简单模型中，可信分发方可以创建密钥并将密钥份额分配给参与者。

在更强的设计中，参与者使用分布式密钥生成（DKG），使完整私钥永远不会在单一地点生成。

密钥生成后，每位参与者仅持有一个密钥份额。

该群组还拥有一个公钥，区块链或验证系统使用该公钥验证签名。

当需要签署加密货币交易时，达到要求数量的参与者会进入签名协议。

每位参与者使用自己的密钥份额创建部分签名，通常称为签名份额。

随后，协调方或聚合流程将有效签名份额合并为一个最终签名。

最终签名可以像常规签名一样，通过群组公钥进行验证。

签名过程中无需重构完整私钥。

这是 TSS 最重要的安全优势之一。

安全的 TSS 设计不仅在私钥存储期间保护私钥，也会在其使用过程中保护私钥。

这在加密货币中尤其重要，因为交易签名正是攻击者试图获取控制权的时刻。

门限的含义

门限是生成有效签名所需的最低参与者人数。

2-of-3 门限表示 3 名密钥份额持有者中的任意 2 名可以签名。

3-of-5 门限表示 5 名密钥份额持有者中的任意 3 名可以签名。

5-of-8 门限表示 8 名密钥份额持有者中的任意 5 名可以签名。

第一个数字是所需签名门限。

第二个数字是密钥份额持有者总数。

较低门限可以提升可用性，因为完成签名所需的参与者更少。

较高门限可以增强抵御串通或被攻破风险的能力，因为需要更多参与者协作。

最佳门限取决于受保护资产的价值、受信任运营方数量、设备丢失风险、快速提现需求和组织安全政策。

对于个人加密钱包，2-of-3 模式可能在安全性和恢复能力之间取得平衡。

对于机构加密货币运营，可使用更大的门限，将权限分散到团队、设备、办公地点或安全环境中。

门限应谨慎选择，因为它同时影响安全性和访问能力。

如果门限过低，攻击者可能只需攻破少量份额。

如果门限过高，足够多参与者不可用时，合法用户可能失去访问权限。

TSS 与数字签名

TSS 建立在数字签名的概念之上。

数字签名可证明一条消息已获得私钥持有者授权。

在加密货币中，该消息通常是交易或与交易相关的哈希。

区块链通过公钥或与地址相关的验证方式验证签名。

现代数字签名标准包括 ECDSA 和 EdDSA 等算法，NIST 数字签名标准涵盖了这些算法。

许多区块链系统使用椭圆曲线签名，因为它们能够以相对较小的密钥和签名提供强安全性。

TSS 不会取代数字签名。

相反，TSS 改变了私钥签名权限在参与者之间的分配方式。

输出结果仍然是有效的数字签名。

区别在于，签名由多方协作生成，而不是由一个完整私钥单独生成。

因此，TSS 常被描述为一种在保持普通区块链签名兼容性的同时，实现私钥控制去中心化的方式。

TSS 与多方计算（MPC）

TSS 与多方计算（MPC）密切相关。

MPC 是一个更广泛的密码学领域，指多方在不向彼此泄露私有输入的情况下共同计算结果。

在 TSS 钱包中，每位参与者的私有输入就是其密钥份额。

共享输出是有效的交易签名。

没有参与者需要向其他参与者披露自己的密钥份额。

NIST 的多方门限密码学项目说明，门限方案将安全多方计算原则应用于签名等密码学原语。

由于这种关系，TSS 钱包有时也被称为 MPC 钱包。

不过，MPC 是更广泛的方法，而 TSS 是特定的签名应用场景。

并非每个 MPC 协议都是签名系统。

并非每个门限系统都具有相同的安全模型、设置方法或支持的签名算法。

对加密货币用户而言，实际含义是 TSS 可以减少在一个地点存储完整私钥的必要性。

但这并不免除用户对设备安全、身份验证、访问控制和恢复规划的需求。

TSS 与多重签名钱包的区别

TSS 和多重签名钱包都旨在降低单私钥风险。

但两者的实现方式不同。

多重签名钱包通常需要多个独立签名才能授权交易。

具体取决于区块链设计，这些签名可能在链上可见，或由智能合约处理。

TSS 钱包通常通过多个密钥份额生成一个最终签名。

对区块链而言，这个最终签名可能看起来像标准的单一签名。

这种区别可能影响隐私、费用、地址兼容性和运营设计。

使用 TSS 时，内部审批规则可在链下管理，区块链仅看到最终有效签名。

使用多重签名系统时，审批结构可能更可见，或更依赖特定区块链的脚本和合约功能。

对于支持同一签名类型的不同区块链，TSS 的灵活性可能更高。

当区块链暴露签名结构时，多重签名钱包可能更容易让用户在链上检查。

没有哪种模式在所有情况下都自动更好。

更合适的选择取决于区块链、威胁模型、托管设计、恢复流程以及用户对透明度的需求。

常见的 TSS 签名类型

门限签名可针对不同签名算法进行设计。

门限 ECDSA 很重要，因为 ECDSA 广泛应用于许多加密货币系统。

门限 Schnorr 签名也很重要，因为与经典 ECDSA 相比，Schnorr 类设计可能更高效，也更容易适配门限协议。

门限 EdDSA 对使用 Edwards 曲线签名的系统很重要。

当前一项主要标准是 FROST，即 Flexible Round-Optimized Schnorr Threshold。

IETF 的 RFC 9591 将 FROST 描述为一种两轮 Schnorr 门限签名协议。

FROST 旨在降低门限签名过程中的网络开销，同时防范曾影响早期 Schnorr 门限结构的某些伪造攻击。

同一 RFC 还包括基于 Ed25519、ristretto255 和 Ed448 的 FROST 密码套件。

这并不意味着每个区块链钱包都会自动使用 FROST。

这意味着门限签名领域正变得更加标准化，有助于开发者、审计人员和基础设施团队更清晰地比较不同设计。

为什么 TSS 对加密货币安全很重要

加密资产由私钥控制。

如果私钥被盗、复制、泄露或滥用，攻击者可能能够签署交易并转移资产。

TSS 通过确保没有任何单一参与者持有完整签名密钥来降低这一风险。

攻击者可能需要攻破多个独立的密钥份额持有者，才能创建有效签名。

当份额存储在独立设备、网络、地点或安全模块中时，这可以使攻击更加困难。

TSS 还有助于降低内部人员风险。

如果门限设计合理，单个员工、承包商、服务器管理员或设备运营者不应能够单独批准高价值交易。

TSS 还可提升运营韧性。

如果一名密钥份额持有者离线，设计合理的 3-of-5 设置仍可能由 3 名可用参与者完成签名。

这对加密货币企业和活跃交易者很重要，因为提现、再平衡、资金库和结算操作可能同时需要安全性与速度。

TSS 并非能够防范所有攻击的万能屏障。

它必须与强身份验证、交易筛查、安全设备、审计日志、人工审核和事件响应相结合。

TSS 如何防范单点故障

单点故障是指其一旦失效便可能导致整个系统失效的任一组件。

在传统私钥存储中，完整私钥可能成为单点故障。

如果该密钥丢失，资金可能无法访问。

如果该密钥被盗，资金可能被盗。

如果控制该密钥的人恶意行事，系统可能没有内置的密码学审批屏障。

TSS 通过将控制权分散到多个密钥份额中改变了这一情况。

单一份额不应足以签署交易。

这可以减少一部手机丢失、一台笔记本电脑被攻破、一台服务器遭入侵或一名内部人员恶意行为造成的损害。

系统还可设计为由不同部门或安全角色持有份额。

例如，一个份额可由运营设备持有，另一个由合规审批流程持有，第三个由安全备份环境持有。

具体结构取决于组织；对于高价值资产，应经过专业安全审查后进行设计。

使用 TSS 进行交易审批

TSS 可以支持比简单单钱包签名更高级的审批流程。

策略引擎可针对不同交易规模要求不同门限。

小额转账可能需要两次批准。

大额资金库转移可能需要四次批准。

向新地址提现可能需要额外审核。

在正常营业时间之外进行的交易可能触发更严格的门限。

这些规则并非由 TSS 本身自动创建。

它们通常属于围绕 TSS 协议构建的钱包、托管平台、治理系统或内部安全架构的一部分。

TSS 的密码学作用是确保未达到所需签名份额参与时，无法生成最终签名。

周边系统的运营作用是决定哪些人可参与，以及在何种条件下参与。

强大的加密货币安全需要这两部分。

即使数学上强大的 TSS 协议，也可能因访问控制不佳或交易审核薄弱而被削弱。

TSS 在加密货币中的优势

TSS 的首要优势是私钥保护。

在正常签名期间，完整私钥无需存在于单一设备中。

第二项优势是灵活授权。

团队可以选择符合自身风险和运营需求的门限结构。

第三项优势是区块链兼容性。

在许多情况下，最终 TSS 输出可像普通签名一样被验证，从而可能减少对特殊链上脚本的需求。

第四项优势是隐私。

由于区块链可能只看到一个最终签名，因此可能不会揭示完整的内部审批结构。

第五项优势是韧性。

设计合理的门限即使在一名参与者不可用时仍可继续运行。

第六项优势是策略控制。

TSS 可与交易限额、地址白名单、时间延迟和紧急冻结等规则结合使用。

这些优势解释了为何 TSS 已成为加密货币基础设施的重要组成部分，尤其适用于管理大额余额或频繁签名活动的系统。

TSS 的局限性和风险

TSS 会增加复杂性。

简单钱包可能只需保护一个私钥，而 TSS 钱包必须管理份额、参与者、通信、备份和恢复。

TSS 也依赖可用性。

如果没有足够参与者能够加入签名流程，就无法生成有效签名。

这可能在系统中断、出行、设备丢失或紧急市场状况下造成运营问题。

TSS 实现还必须谨慎处理随机数（nonce）生成。

历史上，不当的 nonce 处理对数字签名系统十分危险，因为它可能泄露私钥信息。

门限系统包含更多环节，因此实现质量十分重要。

参与者还必须保护自己的设备和凭证。

TSS 设计可以降低单个被盗份额的价值，但无法阻止每一次网络钓鱼攻击、恶意软件感染、审批错误或社会工程尝试。

串通是另一项风险。

如果足够多的获授权参与者故意合作签署恶意交易，门限条件可能得到满足。

因此，治理、监控、职责分离和法律控制仍然重要。

TSS 密钥生成和密钥份额

密钥生成是 TSS 系统中最敏感的阶段之一。

如果先创建完整私钥再进行拆分，则创建完整密钥的设备或流程必须可信。

分布式密钥生成可降低这一信任假设，因为每位参与者都参与创建共享公钥，而无需重构完整私钥。

设置完成后，每位参与者存储一个密钥份额。

密钥份额应加密、安全备份，并通过强身份验证保护。

一些系统将份额存储在硬件安全模块或安全执行环境中。

另一些系统使用专用移动设备、云控制签名服务或混合模式。

合适的存储设计取决于威胁模型。

对于高价值加密货币运营，密钥份额存储应像关键金融基础设施一样接受审查。

密钥份额不应被随意复制、通过电子邮件发送、以明文保存或存储在未经管理的云文件夹中。

丢失过多份额可能导致资金无法访问。

泄露过多份额可能使资金面临风险。

TSS 签名轮次

许多 TSS 协议要求参与者在一个或多个签名轮次中通信。

在这些轮次中，参与者可能交换承诺值、nonce 和签名份额。

具体流程取决于签名算法和协议设计。

FROST 值得关注，因为RFC 9591规定了 Schnorr 门限签名的两轮签名协议。

更少的轮次可以减少网络延迟，使签名更适用于现实加密货币运营。

不过，更少轮次并不意味着不再需要谨慎实现。

协议仍必须验证参与者、处理无效份额、防止重放问题，并管理中止情形。

一些协议包含可识别中止功能，有助于识别导致签名失败的参与者。

这对加密货币运营可能有用，因为签名失败可能由网络错误、设备配置错误或恶意参与者造成。

可靠的 TSS 系统应记录签名事件，并使故障易于调查。

用于热钱包和冷钱包的 TSS

TSS 可用于热钱包和冷钱包设计。

热钱包连接在线系统，用于更快地处理交易。

冷钱包保持更高程度的隔离，用于更强的长期存储。

对于热钱包，TSS 可降低单一在线服务器被攻破直接导致资产损失的风险。

对于冷钱包，TSS 可以将审批权分散到多个离线或半离线环境中。

一些加密货币运营采用分层钱包架构。

较小余额可能存放在速度更快的运营钱包中，而较大储备则由更严格的门限策略保护。

TSS 可通过为不同钱包设置不同门限和签名者群组来支持这种架构。

快速运营钱包可能采用较低门限，但设置严格限额。

储备钱包可能采用较高门限，并进行更多人工审核。

这种设计有助于使密码学控制与业务风险相匹配。

TSS 与链上隐私

在某些区块链环境中，TSS 可以提升隐私，因为最终签名可能不会暴露内部参与者数量。

观察者可能只会看到一个签名和一条公钥验证路径。

他们可能不知道签名来自一人、三人、五台设备还是机构审批系统。

这可以保护研究链上活动的攻击者不获知运营细节。

不过，隐私并非在所有情况下都能得到保证。

交易时间、地址复用、提现模式、网络元数据和公开商业信息仍可能暴露有用线索。

TSS 应被视为一种隐私层，而非完整的隐私解决方案。

良好的钱包使用习惯仍然重要。

用户应避免不必要的地址复用、保护元数据，并检查交易可能如何在不同区块链和服务之间被关联。

TSS 与恢复规划

恢复规划至关重要，因为丢失过多份额可能导致门限系统失效。

2-of-3 设置可以承受丢失一个份额，但不能承受丢失两个。

3-of-5 设置可以承受丢失两个份额，但不能承受丢失三个。

恢复计划应说明谁控制每个份额、份额如何备份、丢失设备如何替换，以及签名者访问权限如何撤销。

一些系统支持份额刷新，即在不改变公钥的情况下更新份额。

一些系统支持密钥轮换，即将资产或权限迁移至新的密钥结构。

在设备退役、员工离职或发生安全事件时，这些功能可能有用。

恢复材料应与日常签名设备分开存储。

还应防范盗窃和意外毁坏。

对于加密货币用户，恢复不仅是 IT 问题。

它是资产保护的直接组成部分。

使用 TSS 的最佳实践

安全的 TSS 设置应从明确的威胁模型开始。

威胁模型应识别可能攻击系统的对象、面临风险的资产，以及可接受的签名延迟。

在可能情况下，应将参与者分散至不同设备、人员、网络或地点。

每个密钥份额都应通过强身份验证和安全存储保护。

签名请求应在批准前清晰展示交易详情。

审批界面应便于验证目标地址、资产、金额、网络和手续费。

系统应尽可能使用经过审计的密码学库。

除非经过专家密码学审查，开发者应避免自行设计定制门限协议。

NIST 的多方门限方案首次征集反映出，公开审查和参考材料对高级门限密码学日益重要。

在大额余额依赖备份与恢复流程前，运营团队应进行测试。

团队还应监控签名活动，并调查异常审批尝试。

TSS 适用场景

当单一私钥会带来过高风险时，TSS 很有用。

它适用于需要多人批准转账的加密货币资金库。

它适用于需要安全且及时转移资产的交易运营。

它适用于必须在不同安全职责之间分离职能的托管系统。

它适用于希望制定内部审批规则、但不想在链上暴露每位签名者的组织。

它适用于需要超越单一助记词的恢复选项的钱包。

它也可能适用于需要在多个环境中保护签名权限的验证者运营方。

对于简单自托管已足够的小额余额，TSS 的价值可能较低，因为其运营复杂性可能带来超过其所降低风险的新风险。

当用户无法可靠管理备份、参与者访问权限或审批流程时，TSS 也可能并不适合。

应将受保护的价值与引入的复杂性进行比较后再作决定。

TSS 在加密货币中的未来

随着加密货币系统日趋成熟，TSS 正变得更加重要。

更多用户和机构希望采用比单一私钥更强、但比区块链特定审批脚本更灵活的安全模型。

标准化也在不断改善。

FROST 作为 IETF RFC 发布，为开发者提供了 Schnorr 门限签名更清晰的参考点。

NIST 持续开展的门限密码学工作，也显示出市场对多方方案公开评估的兴趣日益增长。

未来发展可能包括更完善的审计库、更多钱包集成、更强的恢复工具、改进的签名策略，以及用于后量子签名方案的门限设计。

后量子门限签名仍是一个不断发展的领域，不应被视为现有钱包系统的简单替代方案。

目前，TSS 在采用经过验证的密码学设计、谨慎的软件工程和强运营控制实施时最具实用性。

常见问题

TSS 在加密货币中是什么意思？

TSS 是 Threshold Signature Scheme，即多个密钥份额持有者共同创建一个有效加密货币交易签名、而没有任何单一持有者控制完整私钥的方法。

TSS 与 MPC 相同吗？

TSS 是通常采用 MPC 技术的特定签名应用场景，而 MPC 是多方安全计算这一更广泛的领域。

TSS 比单一私钥更安全吗？

TSS 可能比单一私钥更安全，因为它不会将完整密钥保存在一个地点，并要求达到门限的份额共同签名。

一个 TSS 密钥份额可以签署交易吗？

不可以。除非门限设置为 1，否则一个密钥份额无法单独签名；而设置为 1 将失去 TSS 的主要安全优势。

TSS 会在链上显示多个签名吗？

通常不会。TSS 会生成一个最终签名，因此区块链可能不会显示完整的内部签名群组。

什么是 3-of-5 TSS 钱包？

3-of-5 TSS 钱包有 5 名密钥份额持有者，任何 3 名有效参与者必须协作后才能生成签名。

TSS 可以防止所有加密货币盗窃吗？

不可以。TSS 可以降低私钥风险，但无法阻止每一次网络钓鱼攻击、恶意软件入侵、内部人员串通或错误审批。

密钥份额丢失后会怎样？

如果丢失过多密钥份额，导致无法再满足门限，钱包可能无法签署交易。

TSS 适用于所有区块链吗？

TSS 兼容性取决于区块链或加密货币系统采用的签名算法和钱包实现。

为什么 FROST 对 TSS 很重要？

FROST 很重要，因为它是一种标准化的 Schnorr 门限签名协议，只需两轮签名即可生成签名。

结语

门限签名方案是一种强大的加密货币安全方法，它将签名权限拆分为多个密钥份额，而不是依赖一个完整私钥。

通过要求达到规定门限的参与者，TSS 可以减少单点故障、改善审批控制、支持恢复规划，并保护高价值加密货币运营。

TSS 特别适用于需要安全性和实用交易签名能力的钱包、资金库、托管系统、交易运营和验证者基础设施。

其主要优势是正常签名时无需在单一地点存储或重构完整私钥。

其主要挑战是复杂性，因为安全的 TSS 需要强大的实现、可靠的参与者、受保护的密钥份额、清晰的策略和经过测试的恢复流程。

对加密货币用户而言，TSS 应被理解为一种安全架构，而不只是钱包功能。

设计得当时，它可以使私钥泄露更加困难，并使交易审批更可控。

设计不当时，薄弱的访问控制、不良备份、签名者不可用或有缺陷的软件可能带来新风险。

最佳 TSS 系统将可靠的密码学与谨慎的运营安全相结合。

随着 FROST 等标准和公开门限密码学研究不断成熟，TSS 可能仍将是更安全加密资产管理的重要基础模块。